OD使用须知常识,CPU寄存器和汇编指令.doc

OD使用须知常识，CPU寄存器和汇编指令用OD和CE，不断找汇编资料，解读指令，实在是累。总算找到篇比较完整的资料与大家分享。 |B, o&/ 32位CPU所含有的寄存器有： &6S7q7 4个数据寄存器(EAX、EBX、ECX和EDX) 6At qE 2个变址和指针寄存器(ESI和EDI) 2个指针寄存器(ESP和EBP) W w 6个段寄存器(ES、CS、SS、DS、FS和GS) O7iBYe#qh 1个指令指针寄存器(EIP) 1个标志寄存器(EFlags) z Ox 1、数据寄存器 $ T#VlO4 数据寄存器主要用来保存操作数和运算结果等信息，从而节省读取操作数所需占用总线和访问存储器的时间。 D|H5JAs 32位CPU有4个32位的通用寄存器EAX、EBX、ECX和EDX。 v;yE q 对低16位数据的存取，不会影响高16位的数据。 gJ!?=1d= 这些低16位寄存器分别命名为：AX、BX、CX和DX，它和先前的CPU中的寄存器相一致。 LK1avbaT 4个16位寄存器又可分割成8个独立的8位寄存器(AX：AH-AL、BX：BH-BL、CX：CH-CL、DX：DH-DL)，每个寄存器都有自己的名称，可独立存取。 u= 9h 程序员可利用数据寄存器的这种“可分可合”的特性，灵活地处理字/字节的信息。 2*2&6 32位CPU有2个32位通用寄存器EBP和ESP。 549YIKi 它们主要用于访问堆栈内的存储单元，并且规定： p4OyoQ EBP为基指针(Base Pointer)寄存器，用它可直接存取堆栈中的数据； sA =$If0 ESP为堆栈指针(Stack Pointer)寄存器，用它只可访问栈顶。 1*le: 寄存器EBP、ESP、BP和SP称为指针寄存器(Pointer Register)，主要用于存放堆栈内存储单元的偏移量， /WY Lab 用它们可实现多种存储器操作数的寻址方式，为以不同的地址形式访问存储单元提供方便。 :8Bz$+U 指针寄存器不可分割成8位寄存器。作为通用寄存器，也可存储算术逻辑运算的操作数和运算结果。 J; 4、段寄存器 &0HlUT 段寄存器是根据内存分段的管理模式而设置的。内存单元的物理地址由段寄存器的值和一个偏移量组合而成 tN6IC$ 的，这样可用两个较少位数的值组合成一个可访问较大物理空间的内存地址。 y8) .27 CPU内部的段寄存器： xD?l 0yg6F ECS代码段寄存器(Code Segment Register)，其值为代码段的段值； 9l3KRD EDS数据段寄存器(Data Segment Register)，其值为数据段的段值； .%/Ix/RX EES附加段寄存器(Extra Segment Register)，其值为附加数据段的段值； +vl|/P ESS堆栈段寄存器(Stack Segment Register)，其值为堆栈段的段值； l 6GwNr EFS附加段寄存器(Extra Segment Register)，其值为附加数据段的段值； k$#5o EGS附加段寄存器(Extra Segment Register)，其值为附加数据段的段值。 6z7Qx+ 在16位CPU系统中，它只有4个段寄存器，所以，程序在任何时刻至多有4个正在使用的段可直接访问；在32位 W9U(Hy.g 微机系统中，它有6个段寄存器，所以，在此环境下开发的程序最多可同时访问6个段。 Y oOCbE 32位CPU有两个不同的工作方式：实方式和保护方式。在每种方式下，段寄存器的作用是不同的。有关规定简 U 1qvv. 单描述如下： ed dEB/GEb 实方式： 前4个段寄存器CS、DS、ES和SS与先前CPU中的所对应的段寄存器的含义完全一致，内存单元的逻辑 T?$mot 地址仍为“段值：偏移量”的形式。为访问某内存段内的数据，必须使用该段寄存器和存储单元的偏移量。 R J0k_H 保护方式： 在此方式下，情况要复杂得多，装入段寄存器的不再是段值，而是称为“选择子”(Selector)的某个值。 j O*P_n 5、指令指针寄存器 0qc4Jg 32位CPU把指令指针扩展到32位，并记作EIP，EIP的低16位与先前CPU中的IP作用相同。 $A?,Nl_ 指令指针EIP、IP(Instruction Pointer)是存放下次将要执行的指令在代码段的偏移量。 F*$SPRW 在具有预取指令功能的系统中，下次要执行的指令通常已被预取到指令队列中，除非发生转移情况。 ;IVdW!k 所以，在理解它们的功能时，不考虑存在指令队列的情况。 SKJg 奇偶标志PF用于反映运算结果中“1”的个数的奇偶性。如果“1”的个数为偶数，则PF的值为1，否则其值为0。 a%y%iSS5 利用PF可进行奇偶校验检查，或产生奇偶校验位。在数据传送过程中，为了提供传送的可靠性，如果采用奇偶校验的方法，就可使用该标志位。 efdl 3、辅助进位标志AF(Auxiliary Carry Flag) (QRl4Om, 在发生下列情况时，辅助进位标志AF的值被置为1，否则其值为0： W*zk*n & (1)、在字操作时，发生低字节向高字节进位或借位时； jFd (2)、在字节操作时，发生低4位向高4位进位或借位时。 QeCueZdG 对以上6个运算结果标志位，在一般编程情况下，标志位CF、ZF、SF和OF的使用频率较高，而标志位PF和AF的使用频率较低。 &6$BqdE 4、零标志ZF(Zero Flag) 21L 9* 零标志ZF用来反映运算结果是否为0。如果运算结果为0，则其值为1，否则其值为0。在判断运算结果是否为0时，可使用此标志位。 rfcRy?B 中断允许标志IF是用来决定CPU是否响应CPU外部的可屏蔽中断发出的中断请求。 63Jc( 但不管该标志为何值，CPU都必须响应CPU外部的不可屏蔽中断所发出的中断请求，以及CPU内部产生的中断请求。 nF f#O 具体规定如下： B5p (1)、当IF=1时，CPU可以响应CPU外部的可屏蔽中断发出的中断请求； 26Y (2)、当IF=0时，CPU不响应CPU外部的可屏蔽中断发出的中断请求。 pR1ml9 CPU的指令系统中也有专门的指令来改变标志位IF的值。 hntj0jS 3、方向标志DF(Direction Flag) B9jAgC40i 方向标志DF用来决定在串操作指令执行时有关指针寄存器发生调整的方向。具体规定在第5.2.11节字符串操作指令中给出。 s)z h 在微机的指令系统中，还提供了专门的指令来改变标志位DF的值。 Gk$-axm 三、32位标志寄存器增加的标志位 -lL 1、I/O特权标志IOPL(I/O Privilege Level) U&0F=4vs I/O特权标志用两位二进制位来表示，也称为I/O特权级字段。该字段指定了要求执行I/O指令的特权级。 %mQu?XL 如果当前的特权级别在数值上小于等于IOPL的值，那么，该I/O指令可执行，否则将发生一个保护异常。 i-C(Nd&Y 2、嵌套任务标志NT(Nested Task) $r.tO/(J 嵌套任务标志NT用来控制中断返回指令IRET的执行。具体规定如下： _:#BO_lw (1)、当NT=0，用堆栈中保存的值恢复EFLAGS、CS和EIP，执行常规的中断返回操作； 9R|? (2)、当NT=1，通过任务转换实现中断返回。 ev+_ 3、重启动标志RF(Restart Flag) NL3W7#h- 重启动标志RF用来控制是否接受调试故障。规定：RF=0时，表示“接受”调试故障，否则拒绝之。 TjxJ t:2K 在成功执行完一条指令后，处理机把RF置为0，当接受到一个非调试故障时，处理机就把它置为1。 0XP#p 4、虚拟8086方式标志VM(Virtual 8086 Mode) !W43 *3JZ2 如果该标志的值为1，则表示处理机处于虚拟的8086方式下的工作状态，否则，处理机处于一般保护方式下的工作状态。 *vlp8 zP40n MOVSX 先符号扩展,再传送. a;MP/! MOVZX 先零扩展,再传送. xaPoHr!p PUSH 把字压入堆栈. aIZ7AL ) (XS1Pu 2. 输入输出端口传送指令. bw3TyM IN I/O端口输入. ( 语法: IN 累加器, 端口号DX ) tVO6 g$ OUT I/O端口输出. ( 语法: OUT 端口号DX,累加器 ) +3uyKe7j 输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时,其范围是 0-65535. |M4cL+ 3. 目的地址传送指令. P!NFQ$c= LEA 装入有效地址. SwRN4K 例: LEA DX,string ;把偏移地址存到DX. G&)wv6Z d LDS 传送目标指针,把指针内容装入DS. %8v 例: LDS SI,string ;把段地址:偏移地址存到DS:SI. JO*wqG LFS 传送目标指针,把指针内容装入FS. LGS 传送目标指针,把指针内容装入GS. tXM vqj) 例: LGS DI,string ;把段地址:偏移地址存到GSDI. xID 1kkvY LSS 传送目标指针,把指针内容装入SS. E3-h; VBM& 例: LSS DI,string ;把段地址:偏移地址存到SSDI. hvG=g 4 4. 标志传送指令. CN8mER%; LAHF 标志寄存器传送,把标志装入AH. rBn#6C SAHF 标志寄存器传送,把AH内容装入标志寄存器. XbY$Y PUSHF 标志入栈. oGSI,B POPF 标志出栈. PnA(a 4c PUSHD 32位标志入栈. 5$413 POPD 32位标志出栈. !&ArfM w 二、算术运算指令 0$X1L ADD 加法. P81qi!, ADC 带进位加法. t?CVb!|G6 INC 加 1. Q :B15#ls AAA 加法的ASCII码调整. p0UGL|v9e DAA 加法的十进制调整. OwB BH SUB 减法. v&=tg8 SBB 带借位减法. YN|VO|C6= DEC 减 1. vu;iJb NEC 求反(以 0 减之). =FYA9K?O1 MUL 无符号乘法. pa38#7|ne IMUL 整数乘法. G|RnZ 以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算), 3 auSz16 AAM 乘法的ASCII码调整. Jd _v DIV 无符号除法. n03 &nU IDIV 整数除法. 6x=i 以上两条,结果回送: auqK Hx 商回送AL,余数回送AH, (字节运算); WV,KB;w 或 商回送AX,余数回送DX, (字运算). 5 VNYh$ 移位一次时, 可直接用操作码. 如 SHL AX,1. _N.1次时, 则由寄存器CL给出移位次数. YU.4AFxub 如 MOV CL,04 1VAK? SHL AX,CL P,h$7Ne 四、串指令 ZIh(; DS:SI 源串段寄存器 :源串变址. V2-8pn8? ES I 目标串段寄存器:目标串变址. 4-nIg CX 重复次数计数器. & DpT#N+% AL/AX 扫描值. 9b(pXBf D标志 0表示重复操作中SI和DI应自动增量; 1表示应自动减量. 0p IJWcM Z标志 用来控制扫描或比较操作的结束. H5(F)H MOVS 串传送. 4X;H8J( ( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. ) fkGB| 把源串中的元素(字或字节)逐一装入AL或AX中. L gq ( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. ) I=j.A6q STOS 保存串. ,2f2* 1 是LODS的逆过程. T*!#H REP 当CX/ECX0时重复. y$DuqF REPE/REPZ 当ZF=1或比较结果相等,且CX/ECX0时重复. -fN4#R;W REPNE/REPNZ 当ZF=0或比较结果不相等,且CX/ECX0时重复. 3 / vV REPC 当CF=1且CX/ECX0时重复. lLTv+ REPNC 当CF=0且CX/ECX0时重复. Y$/bvu 五、程序转移指令 XhL5;2 1.简单的条件转移指令 Bzw6U2c JZ(或jE) OPR-结果为零转移, 测试条件ZF=1 F=6lGI t JNZ(或jNE) OPR -结果不为零转移,测试条件ZF=0 )UEF:Y+w JS OPR-结果为负转移, 测试条件SF=1 dGVQG6 JNS OPR-结果为正转移, 测试条件SF=0 4R|x KL JO OPR- 溢出转移, 测试条件OF= AT V - JNO OPR -不溢出转移 , 测试条件SF=0 = N#18wW JP OPR -结果为偶转移, 测试条件SF=1 aa,d +H JNP OPR -结果为奇转移 , 测试条件SF=0 L%njf*$ JC OPR - 有进位转移 , 测试条件SF=1 VY#bV JNC OPR -无进位转移, 测试条件SF=0 0i)v A 2.无符号比较条件转移指令(以下指令经常是CMP OPD,OPS后面的指令根据比较结果来实现转移) DA$6ywH JB(或JNAE) opd -小于或者不大于等于则转移 j,wqrK|0i JNB(或JAE) opd-不小于或者大于等于则转移 jdkaFv JA(或NJBE) OPD-大于或者不小于等于则转移 n/MnAGW7 JNA(或JBE) OPD-不大于或者小于等于则转移 4vbPZMe 3.带符号比较条件转移指令 ?m1k JL(或JNGE) -小于或者不大于等于则转移 HxsMFe| DUP - 操作数字段用复制操作符 /P*eXZw_ SEGMENT,ENDS - 段定义指令 3-qWf#* ASSUME - 段地址分配指令 2e?,-+8g ORG - 起始偏移地址设置指令 uXX gT $ -地址计数器的当前值 4m0gGE PROC，ENDP - 过程定义语句 #uCW: NAME，TITLE，END - 程序开始结束语句 oIwG$wz1. MACRO，ENDM -宏定义指令 *f59&dj XLAT （TRANSLATE） - 换码指令- OqUW%_ 七、条件标志 mbS38eQ#t( ZF 零标志 - 当结果为负时,SF=1,否则,SF=0. ,de AF 辅助进位标志-运算过程中第三位有进位值,置AF=1,否则,AF=0 ;pNoe PF 奇偶标志-当结果操作数中偶数个1,置PF=1,否则,PF=0 Q=*S;M SF 符号标志-当结果为负时,SF=1;否则,SF=0.溢出时情形例外 fmWtud CF 进位标志- 最高有效位产生进位值,例如,执行加法指令时,MSB有进位,置CF=1;否则,CF=0. AI61 j OF 溢出标志-若操作数结果超出了机器能表示的范围,则产生溢出,置OF=1,否则,OF=0 常用修改方法1、定位在cmp或test后的判断跳转，je、jz如此之类的. 遇到这样的，我一般都会把它们改成jmp就能过，当然也要看看上下代码的意思，不然可能出错.个人认为这样修改的效果还是不错 的. 2、定位在跳转后的地址，如je xxxxxxxx ，jmp xxxxxxxx 之类的xxxxxxxx上. 一般遇到是判断跳转的je，jnz的.按照第一个方法把跳转符改改就能过.如把je改成jmp.遇到是jmp xxxxxxxx的，就试试看下 面有没有空 位构造下push xxxxxxxx ret 或者可以把jmp xxxxxxxx ，用跳转转移到其它地方. 3、定位在call eax之类上. 把它改成push eax或其它. 4、定位在call上的. 先跟进call后面的地址看看，因为有时候那里往上拉一句就可能会有NOP之类的语句，那么我们把call后面的地址向前移一位就可以 过. 如果没有NOP，我们可以用跳转转移. 5、定位在OR或者XOR上. 把OR改XOR或者XOR改OR. 6、定位在mov语句上，如MOV DWORD PTR SS:ESP+14,ESI. 我们可以把它改成mov esp,esi add esp,14 7、定位在cmp语句，如cmp eax,esp jnz xxxxxxxx 那么遇到这样的，我们可以把这两句NOP掉，然后加上jmp xxxxxxxx ，这里意思就是我们不要那个比较，把代码直接跳到xxxxxxxx上 运行. 遇到test 这样的也可以试试这个方法. 8、定位在字符串上，但是不能用改大小写的方法修改，修改就出错. 例如pcshare有一个定位在“%s%s%s”上的.我们可以首先用C32把“%s%s%s”向前移一位，然后用OD载入，右键，超级字符串参考 ， 查找ASCII，然后找到所有的“s%s%s”，由于我们向前移了一位，所以显示的应该是“s%s%s”，然后双击来一个个修改.双击后会 发现， 对应的语句会有一个地址，我们把它改掉，向前一位，如4AD05168就改成4AD05167，接着同样方法继续改其它有“s%s%s”的. 这个方法通用字符串的修改. 总结:上面的只不过是我在免杀时的一些经验.实际免杀还需要读懂上下代码，实际分析，并不代表按照上面这样改就一定可以.